Запрещены ли OTP SMS? Что на самом деле требуют банковские правила ОАЭ, Индии и Филиппин в 2026 году

Нет — SMS OTP не запрещены в ОАЭ, Индии или на Филиппинах. Центральный банк ОАЭ поручил банкам поэтапно отказаться от SMS и одноразовых паролей по электронной почте при аутентификации клиентов (процесс отказа начался 25 июля 2025 года); в Индии RBI сохранил SMS OTP в качестве разрешенного фактора в рамках технологически нейтральных правил двухфакторной аутентификации, действующих с 1 апреля 2026 года, а BSP на Филиппинах требует от крупных банков ограничить использование перехватываемых OTPs примерно с 25 июня 2026 года.

Основные выводы

• ОАЭ: поэтапный отказ касается банков, аутентифицирующих собственных клиентов; процесс переводит подтверждение в мобильное приложение банка. Само уведомление Центрального банка не публикуется; даты взяты из сообщений прессы (Gulf News, Khaleej Times, 24 июля 2025 г.).
• Индия: согласно Директивам RBI по механизмам аутентификации 2025 года, с 1 апреля 2026 года для цифровых платежей требуются два различных фактора, при этом как минимум один фактор должен быть динамическим (за исключением платежей с присутствием карты). SMS OTP по-прежнему разрешены.
• Филиппины: Циркуляр BSP № 1213 (подписан 30 мая 2025 г.) предписывает учреждениям под надзором BSP ограничить использование OTPs, отправляемых через SMS и электронную почту, а также требует от крупных организаций внедрить биометрию, беспарольную или адаптивную аутентификацию в течение одного года с даты вступления циркуляра в силу.
• Небанковские организации — электронная коммерция, службы доставки, туризм, SaaS, государственные порталы — не подпадают под действие ни одного из трех упомянутых документов. SMS OTP остаются стандартным способом верификации номера телефона или входа в систему.
• SMS по-прежнему играет регулируемую роль в банковской сфере: циркуляр BSP перечисляет SMS как канал для уведомлений о транзакциях в режиме реального времени, а свод правил SAMA Саудовской Аравии требует мгновенных уведомлений SMS о транзакциях по счетам.

Запрещены ли SMS OTP в ОАЭ?

Нет. То, что произошло в ОАЭ, является изменениями в банковском секторе, а не национальным запретом. 24 июля 2025 года издание Gulf News сообщило, что «банки в ОАЭ начнут поэтапно отказываться от одноразовых паролей (OTPs), отправляемых через SMS и электронную почту, начиная с пятницы, 25 июля», предлагая клиентам перейти на функцию «Аутентификация через приложение» в смарт-приложениях банков. Khaleej Times сообщило в тот же день, что этот шаг «соответствует директивам Центрального банка ОАЭ и будет реализован поэтапно». Gulf News описывает полный отказ от SMS и одноразовых паролей OTPs по электронной почте как обязательный к марту 2026 года.

При составлении политики на основе этой информации следует учитывать два предостережения. Во-первых, Центральный банк ОАЭ (CBUAE) не публиковал данное уведомление; номер и точные формулировки, циркулирующие в сети, взяты из блогов поставщиков услуг, поэтому их следует считать неподтвержденными. Во-вторых, в каждом публичном отчете речь идет о том, что банки аутентифицируют транзакции и входы в систему своих собственных клиентов. Ни один из них не распространяет эти изменения на другие компании, использующие коды SMS для проверки номера телефона, подтверждения доставки или авторизации пользователя.

На практике клиенты банков ОАЭ теперь подтверждают платежи по картам и конфиденциальные действия внутри банковского приложения, как правило, с помощью биометрии телефона или PIN-кода приложения. Для более широкого понимания регуляторного контекста — регистрации имени отправителя, рекламных окон и согласий — см. нашу страницу регулирования SMS в ОАЭ.

Запрещает ли RBI использование SMS OTP с апреля 2026 года?

Нет. Директивы Резервного банка Индии (Механизмы аутентификации цифровых платежных транзакций), 2025 были изданы 25 сентября 2025 года и применяются ко «всем поставщикам платежных систем и участникам платежных систем, включая банки и небанковские организации», которые должны были обеспечить соблюдение требований к 1 апреля 2026 года. Основное правило гласит: «Все цифровые платежные транзакции должны аутентифицироваться как минимум двумя различными факторами аутентификации», а для всех транзакций, кроме транзакций с присутствием карты (card-present), «как минимум один из факторов аутентификации должен создаваться динамически или подтверждаться».

Директивы устанавливают принципы, а не предписывают конкретную технологию. В RBI отмечается, что, хотя использование конкретного фактора не было обязательным, экосистема «преимущественно приняла одноразовые пароли (OTP) на базе SMS в качестве дополнительного фактора» — и в тексте нет ничего, что запрещало бы это. Меняется характер ответственности: «Если любые убытки возникнут в результате транзакций, совершенных без соблюдения этих директив, эмитент обязан полностью компенсировать клиенту понесенные убытки». Эмитенты также могут добавить проверки на основе рисков (местоположение, поведение или атрибуты устройства) в дополнение к двум факторам.

Еще одна дата уже вступила в силу: к 1 октября 2026 года эмитенты карт должны внедрить механизм проверки неповторяющихся трансграничных транзакций без присутствия карты (card-not-present), инициированных зарубежным мерчантом или эквайером. О правилах обмена сообщениями в Индии — регистрации DLT, заголовках и шаблонах — см. регулирование SMS в Индии.

Что требует Циркуляр № 1213 BSP на Филиппинах?

Циркуляр BSP № 1213, серия 2025 был утвержден Монетарным советом 22 мая 2025 года, подписан 30 мая 2025 года и опубликован 10 июня 2025 года. Он вступает в силу через 15 календарных дней после публикации, а финансовые учреждения, поднадзорные BSP (BSFIs), должны обеспечить соблюдение требований «в течение одного (1) года с даты вступления в силу», что приходится примерно на 25 июня 2026 года. В самом циркуляре конкретная календарная дата не указана; в некоторых сообщениях прессы упоминается 30 июня, но правило одного года указывает на 25 июня.

Ключевая формулировка — это ограничение, а не запрет: BSFIs «следует ограничивать использование механизмов аутентификации, которые могут быть переданы или перехвачены третьими лицами, не связанными с транзакцией», в качестве примера приводятся OTPs через SMS и электронную почту. Организации, «занимающиеся сложными электронными продуктами и услугами и обрабатывающие высокие совокупные объемы онлайн-транзакций» (среднемесячный объем транзакций не менее PHP 75 000 000 за последние шесть месяцев), должны внедрить строгую аутентификацию: биометрию (отпечаток пальца, лицо или голос), поведенческую биометрию, беспарольную аутентификацию, такую как ключи FIDO или аппаратные токены, либо адаптивную аутентификацию, а также надежный фингерпринтинг устройства.

Циркуляр также учитывает роль SMS. Сообщения OTP, которые все еще отправляются, «следует персонализировать, указывая достаточные детали транзакции», уведомления в реальном времени могут передаваться «через защищенные каналы, такие как мобильные приложения, мессенджеры, электронная почта или SMS», а BSFIs не должны отправлять кликабельные ссылки или коды QR по электронной почте, в мессенджерах или SMS, если только клиент сам не запросил их, ссылка не является чисто информационной или не ведет на страницу, запрашивающую учетные данные. Контекст страны: регулирование SMS на Филиппинах.

Три правила в сравнении

Кто подпадает под действие правил, а кто — нет?

Самая распространенная ошибка — считать, что правила банковской аутентификации применимы к любому бизнесу, отправляющему коды. Это не так. Область применения определяется тем, кого курирует регулятор.

• В ОАЭ под действие попадают лицензированные банки, осуществляющие аутентификацию входа пользователей и транзакций (согласно сообщениям СМИ).
• В Индии под действие попадают все поставщики и участники платежных систем — банки, эмитенты карт, электронные кошельки и другие небанковские платежные организации — в части цифровых платежных транзакций.
• В сфере действия в Филиппинах: финансовые учреждения под надзором BSP; список требований к строгой аутентификации применяется к организациям, превышающим порог в PHP 75 миллионов в месяц.
• Не подпадают под действие ни одного из трех требований: вход в системы e-commerce и восстановление аккаунтов, подтверждение заказов в сервисах такси и доставки, бронирование путешествий, регистрация в SaaS, маркетплейсы и игры — за исключением случаев, когда сам бизнес является регулируемым платежным учреждением.
• Не подпадают под действие: верификация номера телефона при регистрации, если целью является подтверждение владения номером, а не авторизация платежа.

Что заменяет SMS OTP для банковских клиентов?

Все альтернативные методы объединяет одна идея: привязка подтверждения к устройству или биометрии клиента, а не к коду, который можно продиктовать мошеннику или перехватить после SIM-подмены.

• Подтверждение внутри приложения: push-уведомление в собственном приложении банка, подтверждаемое биометрией или PIN-кодом приложения — именно этот путь выбрали банки ОАЭ.
• Биометрия и поведенческая биометрия: прямо указаны в BSP Circular 1213.
• Беспарольная аутентификация и passkeys: ключи на базе FIDO, хранящиеся на устройстве; см. наше руководство от SMS OTP до passkeys.
• Сетевые проверки: скрытая сетевая аутентификация (silent network authentication) и сигналы SIM-подмены позволяют проверить номер через оператора; см. скрытая сетевая аутентификация против SMS OTP.
• Адаптивная (риск-ориентированная) аутентификация: усиление проверки только при необычном устройстве, местоположении или поведении — разрешено в Индии и предусмотрено в Филиппинах.

Где SMS сохранит свои позиции в 2026 году

Отказ от использования SMS в банковской аутентификации не означает исключения SMS из банковского сектора. Регуляторы по-прежнему рассматривают его как канал для уведомлений, а для платежей вне приложения он остается самым универсальным способом связи с абонентом, не установившим ваше приложение.

• Уведомления о транзакциях: циркуляр BSP относит SMS к каналам уведомлений в режиме реального времени, а SAMA требует мгновенной доставки SMS-уведомлений по операциям по счету.
• Верификация номера телефона при регистрации и смене номера, которую в идеале следует сочетать с проверкой [SIM-swap].
• Вход в систему и восстановление доступа для сторонних приложений, где SMS часто является единственным фактором, который может получить каждый пользователь.
• Индия: SMS OTP в качестве одного из двух факторов, при условии, что второй фактор является отличным от первого.
• Резервный вариант: если push-уведомление или канал внутри приложения недоступны, сервис многоканальной верификации может переключиться на WhatsApp, голосовой вызов или SMS, если это позволяют правила.

Чек-лист для банков и платежных компаний

1. 1Составьте карту всех текущих процессов отправки кодов — вход в систему, добавление бенефициара, платежи без присутствия карты (CNP), изменение лимитов, смена устройства — и укажите, правила какого регулятора ими управляют.
2. 2Перенесите подтверждение высокорисковых операций на методы, привязанные к устройству (push-уведомления в приложении с биометрией, passkeys), и задокументируйте второй фактор для Индии.
3. 3Персонализируйте любые OTP, которые вы отправляете, добавляя детали транзакции (мерчант, сумма), как того требует BSP, и никогда не используйте кликабельные ссылки.
4. 4Добавляйте сигналы риска — SIM-swap, смену устройства, частоту операций — перед тем, как полагаться на любой фактор владения.
5. 5Используйте SMS для оповещений о транзакциях в реальном времени и отслеживайте доставку; ознакомьтесь с нашим руководством по мониторингу доставки для OTP банков.
6. 6Фиксируйте принятые решения по каждому рынку с указанием даты проверки, чтобы аудиторы могли понять причины использования того или иного метода в каждом потоке.

Контрольный список для небанковских приложений

1. 1Подтвердите, что вы не являетесь регулируемым платежным учреждением; если вы им являетесь, к вашим платежным потокам применяется контрольный список для банков.
2. 2Используйте SMS OTP для регистрации и входа в систему, а также добавьте WhatsApp или голос в качестве резервных каналов для повышения охвата и оптимизации затрат.
3. 3Проверяйте наличие недавних SIM swap перед внесением критических изменений в аккаунт.
4. 4Предлагайте passkeys в качестве опции для вернувшихся пользователей, сохраняя SMS для восстановления доступа.
5. 5Оцените риск мошенничества для каждого потока с помощью калькулятора безопасности OTP.

Часто задаваемые вопросы

Запрещены ли SMS OTP в ОАЭ?

Нет. Центральный банк ОАЭ поручил банкам поэтапно отказаться от использования SMS и e-mail OTPs для аутентификации клиентов, начиная с 25 июля 2025 года и планируя завершить этот процесс к марту 2026 года, перейдя на аутентификацию внутри приложений. Это изменение касается банков, аутентифицирующих собственных клиентов; оно не является национальным запретом на коды SMS для других видов бизнеса.

Распространяется ли правило CBUAE на электронную коммерцию, сервисы BNPL или приложения по доставке?

В официальных отчетах указано, что данная директива относится к банкам. В ней не упоминаются электронная коммерция, службы доставки или другие небанковские приложения. Компаниям, имеющим лицензию Центрального банка на осуществление платежей, следует уточнить свои обязательства согласно лицензии непосредственно у регулятора, так как полный текст уведомления еще не опубликован.

Что заменило SMS OTP для клиентов банков ОАЭ?

Аутентификация внутри приложения. Вместо ввода кода, полученного через SMS или e-mail, клиенты подтверждают платежи и важные действия в мобильном приложении своего банка, как правило, используя биометрию телефона или PIN-код приложения.

Запрещает ли RBI использование SMS OTP с апреля 2026 года?

Нет. Директивы RBI, вступающие в силу 1 апреля 2026 года, требуют наличия как минимум двух различных факторов аутентификации для цифровых платежей, при этом как минимум один фактор должен быть динамическим (за исключением транзакций с присутствием карты). Они не предписывают и не запрещают использование конкретных технологий, и SMS OTP остается разрешенным фактором. Эмитенты обязаны полностью компенсировать клиентам убытки, возникшие в результате транзакций, не соответствующих этим требованиям.

Что такое BSP Circular No. 1213?

Это циркуляр Bangko Sentral ng Pilipinas, подписанный 30 мая 2025 года, который обновляет стандарты аутентификации и управления фродом для финансовых институтов, поднадзорных BSP. Он предписывает ограничить использование методов аутентификации, подверженных перехвату, таких как SMS и e-mail OTPs, а также требует от крупных организаций внедрить биометрию, беспарольную или адаптивную аутентификацию в течение одного года с даты вступления документа в силу — примерно к 25 июня 2026 года.

Можно ли по-прежнему использовать SMS OTP для верификации номера телефона?

Да. Ни одно из трех правил не запрещает использование кода SMS для подтверждения того, что пользователь владеет номером телефона при регистрации или смене номера. Сочетание этой проверки с поиском по SIM-swap значительно усложняет возможность злоупотреблений.

Запрещает ли SAMA в Саудовской Аравии SMS OTP?

По состоянию на 26 сентября 2026 года мы не обнаружили официальных предписаний SAMA о поэтапном отказе от SMS OTP. Регламент SAMA требует от банков отправлять мгновенные уведомления SMS о транзакциях по счету. Слухи о дедлайне SAMA, распространяемые в сети, являются лишь предположениями, пока SAMA не опубликует официальное решение.

Что должен использовать банк, если приложение недоступно?

Это зависит от регулятора: филиппинский циркуляр скорее ограничивает, чем запрещает SMS OTP, а в Индии это разрешено в качестве одного из двух различных факторов. Разработайте документированный резервный сценарий (fallback) для каждого рынка — например, второй метод, привязанный к устройству, или вспомогательный канал — и согласуйте его с вашим регулятором, прежде чем полагаться на SMS в качестве резервного варианта.

Источники

• Reserve Bank of India — Authentication Mechanisms for Digital Payment Transactions Directions, 2025, 25 сентября 2025 г.: rbi.org.in (дата обращения: 26 сентября 2026 г.).
• Bangko Sentral ng Pilipinas — Циркуляр № 1213, серия 2025 года, подписан 30 мая 2025 г.: bsp.gov.ph (дата обращения: 26 сентября 2026 г.).
• Gulf News — «Банки ОАЭ прекратят отправку OTPs через SMS и электронную почту с 25 июля», 24 июля 2025 г.: gulfnews.com.
• Khaleej Times — Банки ОАЭ поэтапно откажутся от использования OTPs с 25 июля, 24 июля 2025 г.: khaleejtimes.com.
• Свод правил Центрального банка Саудовской Аравии (SAMA) — Сервис мгновенных уведомлений SMS: rulebook.sama.gov.sa (дата обращения: 26 сентября 2026 г.).